Zmluva o spracúvaní osobných údajov

1. Zmluvné strany

• Prevádzkovateľ: Zákazník podľa Obchodných podmienok (podnik).
• Sprostredkovateľ: upIT s. r. o., so sídlom Pribinova 17954/10, 811 09 Bratislava, IČO 35 947 713, DIČ 2022045432, IČ DPH SK2022045432, zapísaná v obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 36984/B.

2. Predmet, účel a doba spracúvania

• Účel: analýzy z dát pokladne a nákladov, štatistiky QR menu, QR kampane so súkromnou spätnou väzbou a digitálne vernostné karty — výlučne na poskytovanie objednanej služby prevádzkovateľovi.
• Doba: počas trvania zmluvy o službe a do vymazania alebo vrátenia údajov po jej skončení.

3. Kategórie dotknutých osôb a údajov

• Zamestnanci prevádzkovateľa: meno alebo označenie obsluhy v exporte z pokladne, tržby, storná a zľavy podľa obsluhy, smeny; ak ich prevádzkovateľ poskytne, aj mzdy.
• Hostia — vernostné karty: meno, e-mail, voliteľne telefón a deň a mesiac narodenia, súhlasy, história návštev.
• Hostia — QR kampane: text spätnej väzby, hodnotenie a dobrovoľne zadaný kontakt.
• Hostia — QR menu: denný pseudonymný identifikátor (vzniká z IP adresy a údajov o prehliadači, ktoré sa neukladajú), jazyk, zdroj a číslo stola z QR kódu, čas zaokrúhlený na minútu; len do nočného zlúčenia do denných súčtov bez identifikátora.
• Osobitné kategórie údajov (napríklad o zdraví) nespracúvame; prevádzkovateľ nám ich neposkytne.

4. Povinnosti sprostredkovateľa

• Údaje spracúvame len podľa zdokumentovaných pokynov prevádzkovateľa; tými sú Obchodné podmienky, objednávka a nastavenia v aplikácii. Ak považujeme pokyn za nezákonný, upozorníme na to.
• Osoby, ktoré majú k údajom prístup, sú viazané mlčanlivosťou.
• Prijímame primerané technické a organizačné opatrenia: šifrované spojenie, heslá uložené ako hash, prístup podľa rolí, záznamy prístupov, hosting v EÚ, denné zálohy; mená hostí neposielame AI službám a poskytovateľ AI nesmie údaje použiť na trénovanie modelov.
• Na žiadosť prevádzkovateľa nahradíme mená zamestnancov vo Výstupoch kódmi.
• Pomôžeme prevádzkovateľovi vybaviť žiadosti dotknutých osôb a splniť povinnosti podľa čl. 32 až 36 GDPR.
• Porušenie ochrany osobných údajov oznámime prevádzkovateľovi bez zbytočného odkladu po tom, ako sa o ňom dozvieme, aby ho prevádzkovateľ stihol ohlásiť úradu v zákonnej lehote 72 hodín.
• Prevádzkovateľovi poskytneme informácie potrebné na preukázanie plnenia tejto zmluvy a umožníme audit po predchádzajúcom oznámení, najviac raz ročne.

5. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje všeobecný súhlas s týmito ďalšími sprostredkovateľmi: Railway (hosting a databáza, EÚ), Resend (e-maily hosťom, napr. „Vaša karta“) a Anthropic (Claude v komerčnom pláne podľa obchodných podmienok spoločnosti Anthropic, v ktorom analyzujeme dáta z pokladne a exporty z pokladne ukladáme v projekte; USA, prenos na základe štandardných zmluvných doložiek alebo rámca EÚ – USA pre ochranu údajov, údaje nepoužije na trénovanie). Zmenu zoznamu oznámime e-mailom aspoň 30 dní vopred; prevádzkovateľ môže proti nej namietať a pri nesúhlase zmluvu vypovedať.

6. Povinnosti prevádzkovateľa

• Má na poskytnutie údajov právny základ a dotknuté osoby (zamestnancov, hostí) o spracúvaní informoval.
• Poskytuje len údaje potrebné pre službu.

7. Skončenie a vymazanie údajov

Po skončení služby údaje podľa voľby prevádzkovateľa vrátime alebo vymažeme, najneskôr do 90 dní, ak právny predpis nevyžaduje ich ďalšie uchovanie. V zálohách sa vymažú uplynutím lehoty záloh (89 dní). Údaje hostí z vernostných kariet, spätnej väzby a QR menu sa okrem toho mažú priebežne podľa lehôt v Ochrane osobných údajov.